Falla de gravedad media en FortiOS permite a un administrador escribir y borrar archivos y ya se explota

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) sumó el 16 de octubre a su catálogo de vulnerabilidades explotadas (KEV) la CVE-2025-61624, una falla de recorrido de rutas (path traversalVulnerabilidad que permite leer o escribir archivos fuera de la carpeta autorizada de un sistema manipulando las rutas de archivo que recibe, por ejemplo con secuencias que suben de directorio.) en FortiOS, FortiPAM, FortiProxy y FortiSwitchManager, productos de Fortinet. Permite que un administrador con permisos de lectura y escritura escriba o borre archivos arbitrarios con ciertos comandos de la consola (CLI). Fortinet publicó el aviso y los parches el 14 de abril y lo marca como explotado.

Qué es la falla

En simple: un administrador puede usar ciertos comandos para escribir o borrar archivos fuera de las carpetas que le corresponden. Es una falla de recorrido de rutas (CWE-22) en la línea de comandos. Exige un atacante ya autenticado, con perfil de administrador y permisos de lectura y escritura, y Fortinet la califica con gravedad media (CVSS 6,0). CISA no detalla cómo se explota en los ataques.

Un informe de Unit 42, la unidad de inteligencia de amenazas de Palo Alto Networks, publicado el 14 de octubre muestra cómo se usó en la práctica. En una intrusión contra un proveedor de servicios de telecomunicaciones, que según Unit 42 empezó en septiembre de 2024, los atacantes ya tenían acceso de administrador a firewalls FortiGate, con configuraciones y credenciales robadas antes a través de FortiManager con la CVE-2024-47575. Con la CVE-2025-61624 pasaron de administrador a root, el control total del sistema, y desplegaron PEERSTITCH, un implante que vive solo en memoria. Unit 42 explica que el nombre de un objeto de automatización (auto-script) no se filtra y admite secuencias de recorrido de rutas.

A quién afecta

Según Fortinet, están afectadas estas versiones, con su corrección:

FortiOS 7.6.0 a 7.6.4 (corregida en 7.6.5) y 7.4.0 a 7.4.9 (7.4.10); todas las de las ramas 7.2, 7.0 y 6.4, que deben migrar a una versión corregida. FortiProxy 7.6.0 a 7.6.4 (7.6.5) y 7.4.0 a 7.4.11 (7.4.12); todas las de 7.2 y 7.0. FortiSwitchManager 7.2.0 a 7.2.7 (7.2.8) y 7.0.0 a 7.0.6 (7.0.7). FortiPAM 1.7.0 (1.7.1) y todas las de 1.6 a 1.0; la 1.8 no está afectada.

Estado de explotación

Explotada, según el catálogo KEV de CISA y el aviso de Fortinet, que no da más detalles. CISA indica que no se sabe si se usa en campañas de secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.) y fijó el 19 de octubre como plazo para las agencias federales de Estados Unidos. No hay datos de equipos expuestos en internet.

Antecedentes

Fortinet suma fallas explotadas este año. En julio, BleepingComputer informó que CISA había agregado al catálogo dos fallas críticas de FortiSandbox, CVE-2026-39808 y CVE-2026-25089.

Qué hacer

• Actualizar a una versión corregida; las ramas sin parche (FortiOS 7.2, 7.0 y 6.4, entre otras) deben migrar. Fortinet ofrece una herramienta de rutas de actualización en docs.fortinet.com/upgrade-tool.
• Fortinet no lista mitigaciones, pero hay un parche virtual (FG-VD-59270) en la actualización 25.120 de la base FMWP.
• Limitar quién tiene perfil de administrador con lectura y escritura y revisar esas cuentas.
• Buscar señales de compromiso: Unit 42 recomienda revisar objetos auto-script con "../" en el nombre y, si hubo acceso de administrador no autorizado, rotar las credenciales y el material criptográfico del equipo.

Ficha técnica

• CVE: CVE-2025-61624
• CVSS: 6,0 (CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H), según Fortinet; 6,5 (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H), según NVD
• CWE: CWE-22, recorrido de rutas
• Productos: FortiOS, FortiPAM, FortiProxy y FortiSwitchManager
• Versiones corregidas: las listadas en "A quién afecta"
• Aviso del fabricante: FG-IR-26-122, 14 de abril de 2026
• Alta en KEV: 16 de octubre de 2026, plazo del 19 de octubre